Social Engineering Model Baru, Kejahatan Siber Bobol Pengguna Mobile Banking

Liputan6.com, Jakarta - Pagi itu, 8 Oktober 2022 Nur Indah tak menyangka chat yang diterimanya akan jadi malapetaka. Sekitar pukul 07.29 WIB gawainya bergetar. Nomor tak dikenal memberikan pesan bahwa Indah mendapatkan sebuah paket dengan pengiriman dari PT Pos Indonesia.

Perempuan berusia 24 tahun itu sempat menanyakan siapa pengirim paket tersebut. Orang yang diduga kurir hanya meminta Indah untuk mengecek detail pengiriman melalui aplikasi yang dikirimnya. Selang beberapa menit kemudian, Indah meng-klik aplikasi yang diberikan.

Saat itu, menurut Indah, aplikasi tersebut tidak terbuka. Dia mengira smartphone miliknya sudah tidak cukup untuk mengunduh aplikasinya lainnya. Tanpa ada keraguan dia tetep melakukan aktivitas sehari-hari.

Hari berikutnya Indah tetap semangat bekerja di salah satu klinik di Kabupaten Deli Serdang, Sumatera Utara. Namun, menjelang malam semuanya berubah. Yakni ketika kemunculan pemberitahuan yang menunjukkan adanya sejumlah transaksi muncul di layar depan gawai miliknya.

Email yang diterimanya merupakan pemberitahuan dari Bank BRI. Awalnya, Indah tidak paham mengenai pemberitahuan yang muncul dan menanyakan ke teman kerjanya. Setelah dijelaskan pikirannya langsung buyar. Panik dan bingung menjadi satu. Seketika Indah pun menangis.

Tak lama berselang dia langsung menghubungi keluarganya di rumah untuk konfirmasi mengenai transaksi yang tercatat pada 8 Oktober 2022 tersebut. Indah memang menyadari adanya transaksi tersebut pada 9 Oktober 2022.

"Di situ langsung telepon orang tua. Orang tua bilang enggak ada yang ambil uang. Jadi di situ saya bingung kok bisa uang keluar dari ATM tapi enggak ada yang ambil uangnya," kata Indah kepada Liputan6.com.

Semalaman Indah tak bisa tidur nyenyak. Pikirannya hanya tertuju ke bank tempatnya menyimpan uang. Berkali-kali dia memeriksa pemberitahuan transaksi penarikan uang yang terjadi.

Transaksi pertama yaitu pengiriman uang ke salah satu rekening yang tidak diketahui sebesar Rp 19,8juta pada pukul 09.02 WIB. Kemudian transfer kedua dengan jumlah Rp 30juta pukul 09.08 WIB. Sedangkan transaksi ketiga pengisian pulsa sebesar Rp 1 juta pukul 09.12 WIB.

Keesokan harinya bersama temannya Indah menuju salah satu kantor bank terdekat. Dia meminta kepada petugas untuk diterbitkan rekening koran karena ada transaksi yang tidak dilakukannya.

"Lalu rekening koran itu memang benar saldo saya itu tinggal Rp 81 ribu, dari Rp 54 juta. Habis itu saya tanya, kenapa bisa begini. Lalu mereka tanya sebelumnya ada yang ngirim kode One Time Password (OTP) atau ngasih kode apapun itu sama orang. Saya bilang enggak ada," ucapnya.

Lapor Polisi Setempat

Seketika Indah ingat jika dua hari yang lalu dirinya mendapatkan pesan lewat WhatsApp dari kurir yang mengaku dari PT Pos Indonesia dan meng-klik aplikasi yang diminta. Saat cerita tersebut disampaikan ke petugas bank, Indah diyakinkan, itu merupakan bentuk penipuan baru.

Dalam posisi yang panik, dia menanyakan kepada petugas bank bagaimana uang tersebut bisa kembali. Sebab uang yang ada di rekeningnya merupakan milik orang tuanya hasil dari jualan sapi jelang Idul Adha. "Mereka bilang ini kesalahan nasabah sendiri dan uang tidak bisa kembali," ujar Indah.

Selanjutnya pada hari yang sama, dia langsung melakukan pelaporan ke Polsek Lubuk Pakam mengenai peristiwa yang dialami. Hingga saat ini kasus tersebut masih terus ditangani.

Berdasarkan informasi yang diterimanya, pelaku terlacak di Kota Palembang, Sumatera Selatan. Bahkan Indah juga sempat menyampaikan kejadian yang menimpanya di rapat DPRD Kabupaten Deli Serdang.

"Sampai sekarang sih masih dilacak gitu, katanya Polisi yang di sini masih bekerja sama Polisi yang di Palembang," Indah menandaskan.

Sementara itu, salah seorang warga Depok David mengaku bersyukur gagal menjadi korban penipuan yang mengatasnamakan pegawai bank. Sore itu pada 28 Oktober 2022, dia mendapatkan chat jika Bank BRI akan melakukan pengubahan tarif transfer.

Dalam surat yang dikirimkan pelaku, tertuliskan, korban harus memilih tarif transfer unlimited atau tetap menggunakan tarif lama. Saat itu posisi David tengah bekerja dan tidak berpikir jernih mengenai pesan tersebut dan langsung mempercayainya.

"Jadi dikirim pas lagi ribet juga, jadi baca sepintas percaya aja. Disuruh masukin password dan username buat dapat OTP. Setelah masukin berkali-kali enggak dapet OTP. Baru setelah lima menit sadar," kata David kepada Liputan6.com.

Setelah menyadarinya, David mengaku langsung mendapatkan pemberitahuan dari email Bank BRI jika ada proses yang masuk menggunakan akunnya. Dia langsung mencoba ganti kata sandi akun mobile banking miliknya. Tapi berkali-kali juga pelaku mencoba membobol akunnya.

"Penipu masih coba bobol akun ada notifikasi email. Jadinya akun diblokir berkali-kali karena dimasukin username dan password yang salah," papar dia.

David mengaku sebenarnya tabungan BRI miliknya baru dan belum ada transaksi apapun atau kosong. Kendati begitu dia harus ke kantor bank terdekat untuk memulihkan akunnya yang sempat sudah terblokir. "Disuruh ke customer service tapi belum ke sana. Karena rekening juga bukan rekening utama," tandasnya.

Serang Keamanan Perangkat

Pemerhati kejahatan siber, Evan Abu Muhammad menduga file yang dikirimkan para pelaku dan diunduh oleh korban merupakan exploit atau sebuah kode yang menyerang keamanan perangkat yang digunakan. Yaitu untuk mengambil data korban atau bisa disebut sniffing dalam dunia peretasan.

Berdasarkan sejumlah pengakuan korban yang menghubunginya, tiba-tiba saldo rekening mereka bilang setelah meng-klik atau mengunduh file yang diberikan oleh pelaku. Hal tersebut diketahui dari sejumlah pemberitahuan dari bank telah terjadi transaksi penarikan dana.

"Ini modus kejahatan siber yang baru. Pelaku pura-pura dari jasa ekspedisi lalu mengirimkan file dengan ekstensi APK. Kalau tidak jeli dan hanya melihat judul file, bakal terkecoh ingin nge-klik dan unduh file-nya," kata Evan kepada Liputan6.com

Karena hal itu, dia meminta masyarakat dapat memperhatikan kembali jika mendapatkan pesan dan meminta untuk mengunduh. Sebab file dengan ekstensi APK merupakan aplikasi yang berjalan untuk operator sistem android.

"Tetap waspada dalam bertransaksi elektronik. Jangan sembarangan klik link atau download file yang mencurigakan," tandas Evan.

Modus penipuan baru dengan berpura-pura menjadi kurir paket memang tengah viral di media sosial. Korban umum lainnya juga para nasabah bank, pemilik dompet digital, hingga belanja daring. Media yang digunakan yaitu telepon, layanan pesan singkat, e-mail, dan media sosial. Praktik tersebut mengakibatkan terjadinya pencurian data korban hingga mengambil duit di dalam rekening.

Pakar keamanan siber dan forensik digital Alfons Tanujaya menyatakan modus tersebut dapat disebut social engineering (soceng) atau rekayasa sosial. Yakni ketika pelaku mengelabui korbannya dengan sebuah rekayasa agar melakukan sesuatu hal seperti mengklik satu file yang telah dikirim.

Sebab banyak para pelaku yang ingin mencuri One Time Password (OTP) atau kode rahasia saat melakukan verifikasi yang digunakan sekali yang dikirimkan melalui email, SMS, hingga telepon. Sebelumnya untuk mendapatkan OTP tersebut para pelaku bisa berpura-pura sebagai petugas kepolisian, bank, hingga pemberitahuan menang undian.

Alfons menyebut kejahatan dengan modus sebagai kurir paket merupakan teknik baru. Sebagian besar korban memang tidak menyangka dari sejumlah modus soceng yang dilakukan. Alfons juga menyebut para pelaku cukup cerdas dalam melakukan aksinya.

"Jadi itu cukup mengejutkan karena rekayasa sosial itu kan biasanya berhubungan dengan apa yang ingin ditipu tapi ini yang hebatnya rekayasa sosialnya yang digunakan adalah kamu terima paket, orang kirim paket kamu, silahkan cek ada paketanya atau enggak, yang dituju bukan paket karena tidak ada hubungan dengan paket atau kurirnya, tapi yang dituju account dari mobile bankingnya," kata Alfons kepada Liputan6.com.

Di sisi lain, Alfons menyatakan bahwa sejumlah kejahatan siber yang marak terjadi saat ini merupakan dampak dari kebocoran data yang masif terjadi di Indonesia. Karena hal itu dia meminta agar pemerintah segera melakukan sejumlah langkah antisipasi.

"Bahwa ini secara tidak langsung masyarakat Indonesia sudah sangat menderita akibat kebocoran data ya ini dampaknya enggak keliatan, enggak langsung data di eksploitasi yang terjadi adalah tahu-tahu dana di m-bankingnya berkurang dan jika diselidiki lebih jauh itu hilangnya entah ke rekening bank mana," lanjut dia.

Untuk fenomena soceng Alfons menilai kegiatan tersebut dilakukan secara terorganisir dan saling terhubung. Bahkan para komunitas ini saling berbagi dan memperbaharui keahlian dalam upaya peretasan dan rekayasa sosial dengan memanfaatkan teknologi yang ada.

Alfons juga menyatakan di internet pun jual beli akun bank seringkali terjadi dan kemungkinan dapat digunakan untuk kejahatan.

"Itu yang sudah terjadi dan pemerintah perlu peduli dan pihak Kepolisian kami tahu bahwa ini banyak sekali terjadi dan mungkin resource tidak cukup untuk menangani ini. Sebenarnya tidak jauh rasanya sindikatnya hanya beberapa kok dan kami cukup yakin kepolisian bisa melacak dan lihat dari nomor handphone yang di daftarkan, hubungi seluler dan kepolisian bisa tau kok diakses darimana," kata dia.

Alfons pun memberikan memberikan sejumlah tips untuk terhindar dari modus kejahatan tersebut. Pertama para pengguna atau nasabah mobile banking untuk tidak menginstal aplikasi yang tidak diketahui keamanannya. Dia meminta agar masyarakat khususnya pengguna android dapat menginstal aplikasi dari Play Store.

Menurut dia, kadang kala ada aplikasi dari Play Store yang tidak aman ketika dilakukan pembaruan apalagi aplikasi di luar layanan resmi.

"Maka rekayasa sosial tadi yang JnT express itu mereka memancing pura-pura sebagai pelacak paket padahal itu instal apps, orang awam enggak tahu. Sebagai user harus cermat jangan menjalankan aplikasi apapun dan jangan pernah meng-approved apalagi untuk mentransferkan SMS. Kalau misalnya ada aplikasi yang tidak anda kenal, harus segera don't allow dan di-uninstalled," ucap dia.

Alfons meminta para pengguna dapat memastikan aplikasi mobile banking yang digunakan memiliki sistem pengamanan baik atau mumpuni. Yakni ketika pelaku kejahatan telah berhasil memperoleh username, PIN transaksi dan OTP, namun akun masih aman.

Atau kata lain, saat perpindahan akun mobile banking ke perangkat lain harus melewati verivikasi lanjutan yang cukup ketat dengan prosedur tambahan.

"Contohnya, harus ke ATM, keluarin kartu ATM kita, masukin pin, mau ganti telepon, klik menunya, lalu keluar username baru. Itu setidaknya bisa mencegah, atau harus ke customer service kalau ganti nomor telepon atau perangkat telepon jadi ada verifikasi tatap muka. Jadi jangan ngandelin OTP aja, jadi nasabah saya sarankan begitu jadi jangan mudah untuk mengutamakan, kemudahan dan kenyamanan karena resikonya itu luar biasa dan sangat tinggi," papar Alfons.

Alfons menyatakan ketika hanya mengandalkan OTP SMS saat mengganti perangkat mobile banking itu memungkinkan terjadinya pengambilalihan akun oleh pelaku lebih mudah. Sebab secara teknis OTP SMS lebih lemah dan mudah disadap dibandingkan dengan aplikasi atau token.

Karena hal itu, dia menyarankan agar setiap bank di Indonesia dapat menambahkan fitur keamanan untuk nasabah. Sebab tidak semua nasabah mengerti mengenai pengamanan teknologi informasi.

"Sebenarnya ini prinsipnya itu adalah berubah handphonenya, berubah password-nya. Jadi password itu unik ke handphone. Itu baru yang akan diterapkan oleh google, apple dan microsoft dalam 1-2 tahun ini," ujarnya.

Jangan Mudah Terkecoh

Soceng sangat berbahaya dan perlu dihindari oleh masyarakat. Anggota dewan komisioner OJK bidang Edukasi dan perlindungan konsumen, Friderica Widyasari Dewi mengakui jika modus kejahatan di era digital semakin berkembang. Misalnya phishing yang merupakan tindakan memancing pengguna atau korbannya untuk mengungkapkan informasi rahasia.

"Pelaku kejahatan memanfaatkan kelengahan konsumen dalam menjaga data pribadi," kata dia beberapa waktu lalu.

Friderica juga memberikan sejumlah tips meminimalisir bahaya phising. Pertama yaitu masyarakat harus menjaga kerahasiaan data pribadi. Seperti halnya password, PIN, atau OTP kepada siapapun. Termasuk jika ada yang mengaku dari pihak bank, baik untuk penggunaan ATM dan atau mobile banking.

Kemudian, masyarakat diminta untuk sering memperbaharui password secara berkala. Lalu mengaktifkan fitur pemberitahuan transaksi dan melakukan pengecekan histori transaksi secara berkala. Masyarakat juga diminta menjaga keamanan seluler dan koneksi internet yang digunakan.

Kriminolog Universitas Indonesia, Thomas Sunaryo angkat bicara mengenai sejumlah kejahatan siber yang terjadi di masyarakat. Salah satunya yaitu modus pelaku yang mengatasnamakan bank hingga kurir ekspedisi. Thomas mengakui di era digitalisasi seperti saat ini banyak terjadi macam-macam penipuan dengaan menggunakan keahlian teknologi atau kejahatan siber.

"Ini menunjukan bahwa hukum yang mengatur perilaku manusia itu selalu tertinggal dengan perkembangan masyarakat. Cyber crime juga baru-baru aja, kalau soal penipuan yang korbannya adalah masyarakat, sekarang ini juga terjadi perubahan sosial dengan masyarakat kita yang dulu tradisional, konvensional sekarang sudah masyarakat modern," kata Thomas kepada Liputan6.com.

Digitalisasi menurut Thomas, merubah pola-pola kehidupan masyarakat. Di mana banyak masyarakat yang berlomba-lomba mengejar status sosial ekonomi dan materi. "Ini juga yang sering kali menyebabkan masyarakat tidak sadar secara psikologis sosial dan dimanfaatkan oleh orang-orang yang memperdaya dengan penipuan. Lalu masyarakat kita sekarang juga cenderung ingin cepat kaya," ucapnya.

Selain itu, literasi yang rendah juga berdampak pada rendahnya kewaspadaan masyarakat. Era digitalisasi kata Thomas masyarakat makin tertarik dengan hal yang berbau visual tanpa diimbangi dengan literasi yang tinggi.

Lanjut Thomas, ada beberapa hal yang menjadi tantangan dalam mengatasi kejahatan siber. Pertama yakni kadangkala masyarakat mudah percaya, apalagi sama penipuan yang menawarkan keuntung besar. Kemudian saat ini pelaku kejahatan juga semakin canggih dalam melakukan modus operandinya, bahkan semakin terorganisir.

"Bentuk-bentuk kejahatan terutama pakai cyber crime itu tidak dilakukan oleh satu orang, sudah terorganisir bahkan internasional. Dia juga bisa menguasai dengan kepandaian dia dengan teknologi mempengaruhi secara psikologis orang cenderung akan mengikuti," papar dia.

Karena itu, dia meminta agar pemerintah dan semua pihak dapat melakukan sejumlah mitigasi mengenai kejahatan siber. "Harus ada aturan dari pemerintah atau paling tidak juga ada semacam sosialisasi kewaspadaan bahwa sekarang kejahatan siber sangat bervariasi," dia menandaskan.

Tingkatkan Kewaspadaan

Sementara itu, Kabid Humas Polda Metro Jaya, Kombes Pol Endra Zulpan mengatakan, korban penipuan disarankan membuat laporan ke polisi. Sejauh ini, Zulpan mengatakan, Polda Metro Jaya belum menerima laporan terkait dengan modus tersebut.

"Kita belum terima laporan seperti itu dari masyarakat yang jadi korban seperti itu. Kalau ada imbauan tentunya mengimbau kepada masyarakat khususnya di wilayah Jakarta yang jadi korban kasus seperti itu, agar segera melaporkan kepada kepolisian untuk kita ambil tindakan hukum terhadap penipuan yang bermodus seperti itu," kata dia kepada wartawan, Selasa (6/11/2022).

Zulpan meminta masyakarat meningkatkan kewaspadaan dan diimbau lebih berhati-hati apabila menerima pesan-pesan yang mencurigakan.

"Apalagi dirasakan tidak pernah melakukan transaksi dan komunikasi ekonomi atau kegiatan perdagangan dengan yang ditawarkan, itu jangan langsung mengikuti petunjuk dan perintah dalam pesan singkat itu," ujar dia.